Tema 2 - Análisis binario del programa

¿Cuándo se produce un error de formato de cadena con la función printf?. El ataque de formato de cadena produce un error cuando un desarrollador realiza un printf() con una variable y el atacante puede utilizar el error para robar la raíz. El ataque de formato de cadena produce un error cuando un desarrollador realiza un printf() sin una variable y el atacante puede utilizar el error para robar la raíz.

¿Cuál de las siguientes no es una medida para evitar el desbordamiento de buffer?. Pila no ejecutable. Lenguajes resistentes. Métodos bien estructurados.

¿Qué son las bases de datos NoSQL?. Almacena datos relacionados con entidades y las relaciones entre entidades. Combinan distintos modelos de bases de datos en un único servidor. Esto permite añadir distintos tipos de datos. Base de datos no relacional que permite manipular y almacenar datos no estructurados y semiestructurados.

¿Cuál de estos modificadores de formato NO evita los errores de formato de cadena?. %s (string). %p (puntero). %c (carácter).

El código de PHP puede ser incrustado en el código HTML dentro de las etiquetas "<¿php" y "¿>", agregando código para añadir cualquier funcionalidad. True. False.

¿Cuál de las siguientes NO es una forma en la que una inyección SQL puede llegar a una aplicación?. Through-band. Out-of-band. Inferential.

Java es uno de los lenguajes de programación resistentes al desbordamiento de buffer. True. False.

El virus blaster provocaba reinicios de ordenador. True. False.

El método de inferencia, que consiste en realizar una serie de consultas booleanas al servidor e ir observando las respuestas, y poco a poco, deducir su significado. True. False.

¿Para que sirve el apuntador del marco (base local, lb) cuando se llamada a una función?. Para poder retornar a la línea de código que llamo la función una vez finalizada esta. Para poder recuperar las variables del entorno de la función tras volver desde otra función. Este apuntador no existe.

¿Por qué es posible el SQL injection?. No es posible. Porque concatena el parámetro a la query pudiendo alargar la query más allá del valor del parámetro haciendo que ejecute código malicioso. Porque las bases de datos SQL no se diseñaron para un mundo con ordenadores cuánticos.

¿Cómo se puede prevenir el SQL injection?. Validando los parámetros antes de añadirlos a la query. Mediante el uso de consultas pre-compiladas. Las otras dos opciones son correctas.

Qué operador se emplea para concatenar los resultados de dos consultas en un único conjunto de resultado, excluyendo los resultados duplicados. UNION. LIMIT Y UNION. SELECT. OR.

Un procedimiento almacenado de SQL Server es un grupo de una o varias instrucciones Transact-SQL, que permiten: Aceptar parámetros de entrada y devolver valores en forma de parámetros de salida al programa que realiza la llamada. Contener instrucciones de programación que realizan operaciones en la base de datos. Devolver un valor de estado a un programa que realiza la llamada a una función para indicar si esta operación se ha realizado correctamente o con errores. a y c son correctas. Todas son correctas.

Encriptar consiste en bloquear los datos mediante un código secreto que oculta su verdadero significado. Su propósito es mantener la confidencialidad de esos datos. True. False.

La inyección SQL es un ataque a una aplicación web, cuya finalidad es insertar secuencias SQL que afecten a la vulnerabilidad en los sistemas de bases de datos relacionales para acceder a sus datos. True. False.

Función del comando printf: Imprime el flujo de un archivo. Imprime el flujo de los stdout. Establece argv[]. Salida de Syslog.

Los canarios de código son: Unos números que se introducen junto a las variables de retorno de la función con el objetivo de saber si esa variable de retorno ha sido sobrescrita. Unos números que permiten codificar un archivo que ha sido sobrescrito anteriormente. Las variables utilizadas en un código que tienen la función de retorno de valores. Las variables que tienen como objetivo la traducción y adaptación del código implementado.

Un desbordamiento de buffer se suele deber a una mala programación. True. False.

Surgen cuando un tipo de datos no nos permite almacenar una cantidad de datos de nuestro programa (debido a que tienen un límite inferior u otro superior de capacidad). Desbordamiento de head. Desbordamiento de la pila. Desbordamiento de enteros. Todos los anteriores.

¿Cuál de las siguientes funciones es NO peligrosa?. strnncat. strcat. strncat.

Los errores de formato de cadena pueden ser evitables con los modificadores de formato. True. False.

El comando ‘SELECT’ específica, pero no muestra los valores devueltos por la consulta. True. False.

El desbordamiento de la pila de llamadas o stack usa los métodos PULL y PUSH para ir almacenando y sacando información sobre la pila en el proceso. True. False.

Un aspecto a considerar en una BBDD es la consistencia que nos garantiza que las operaciones de memoria serán predecibles. True. False.

Un buffer es un área en la memoria RAM de la computadora donde se almacenan datos para un largo periodo de tiempo. True. False.

Los desbordamientos de memoria dinámica o heap: Son más complicados de llevar a cabo que los desbordamientos de pila. Son más fáciles de llevar que los desbordamientos de pila. Son igual de complicados que los desbordamientos de pila.

En SQL, el operador OR se puede escribir como: " || ". " * ". " // ".

Los canarios de código son unos números que se introducen junto a las variables de retorno de la función, con el objetivo de saber si esa variable de retorno ha sido sobrescrita: True. False.

El desbordamiento de heap es más complicado de llevar a cabo que el desbordamiento de pila: False. True.

En ... las tablas de cadena se encuentran dentro del programa ejecutable o en bibliotecas de vinculo dinámico del recurso. Linux. Windows. MacOS.

La _________ es un pilar de la seguridad que permite el acceso restringido a la información, permitiendo su consentimiento al personal autorizado. Integridad. Confidencialidad. Disponibilidad.

El desbordamiento de pila de llamadas o stack: Surge cuando se inicia una llamada a una función. Ocurre cuando se sobrepasa el valor limite de un tipo de dato. Nos obliga a saber que variables son críticas para la aplicación y que zonas de memoria alcanzan a estas variables.

La seguridad lógica es un tipo de seguridad ante la inyección SQL que protege: El hardware como la ubicación. El software a nivel de sistema operativo y de aplicación. Los sistemas informáticos mediante acciones preventivas.

Los tipos de ataques de inyección SQL mas comunes son: Uso de operador ‘AND’, consultas ‘SELECT’ y consultas ‘UNION’. Uso de operador ‘OR’, consultas ‘INSERT y consultas ‘GROUP BY’. Uso del operador ‘OR’, consultas ‘SELECT’ y consultas ‘UNION’.

Cuáles de los siguientes virus que utilizan desbordamiento de buffer. Sasser. Morris. Todas son correctas.

Cuál es el lenguaje mas afectado en errores de formato de cadena. C/C++. Java. SQL.

Cuales son las distintas formas en las que la inyección SQL llega a una aplicación: Inband. Out-of-band. A y B son correctas.

El Buffer de memoria es un área en la memoria caché de la computadora donde se almacenan datos en un corto periodo de tiempo. Verdadero. Falso.

Si queremos prevenir la inyección SQL una de las medidas que podemos tomar a modo de defensa es limitar los privilegios de administrador de la base de datos. Verdadero. Falso.

¿Qué técnica de desbordamiento del buffer es la más común?. Desbordamiento de la pila de llamadas. Desbordamiento de heap. Desbordamiento de enteros.

La auditoría manual del código consiste en la supervisión del código por parte de una persona. True. False.

¿Cuál es el tipo de ataque más reciente?. Desbordamiento de buffer. Error de formato de cadena. Inyección SQL.

Una función que evitar para prevenir los errores de formato de cadenas en C/C++ es: frintf. syslog. printf.

El tipo de Inyección SQL In-Band se basa en. Los datos se extraen en un canal distinto al empleado para inyectar el código SQL. Los datos se extraen en el mismo canal que ha sido utilizado para inyectar el código SQL. No se produce una transferencia de datos, pero el atacante es capaz de reconstruir la información enviando peticiones y observando el comportamiento de la base de datos.

Si quiero comprobar que un archivo no ha sido modificado usaré el protocolo criptográfico: MD5. SHA-256. SHA-512.

Los canarios: Su nombre se debe a la capacidad de los pájaros para comunicarse. Sirven para la detección de desbordamiento de enteros. Sirven para la detección de desbordamiento de buffer.

¿Cuál de las siguientes herramientas utiliza los canarios para la detección de desbordamiento de buffer?. /GS. BufferShield. AVG.

Las bases de datos relacionales…. Su información se representa en forma de objetos. Bases de datos cuyo código fuente es de código abierto. Sus elementos se organizan como en una tabla, en filas y columnas.

Podemos definir SQL como un lenguaje de programación de consulta estructurado, que permite manipular y descargar datos de una base de datos. Este lenguaje no te permite realizar cálculos matemáticos avanzados y álgebra. True. False.

¿Qué tipos de bloques se usan en el listado blanco?. Predeterminado, solo escritura, sandboxing. Predeterminado, solo lectura, sandboxing. Ninguna es correcta.

Cual de estos no es un tipo de desbordamiento de buffer: Desbordamiento de stack. Desbordamiento de enteros. Desbordamiento de formato.

¿Cuál es la funcionalidad de snprintf?. Imprime en una cadena con chequeo de longitud. Imprime en una cadena. Imprime el flujo de los stdout.

La disponibilidad es un pilar de la seguridad que permite: Mantener la capacidad de presentar los archivos informáticos utilizables en todo momento. El acceso restringido a la información. La conservación de la información.